Hace poco menos de dos semanas que Google Salió apresuradamente un parche de Chrome para la versión 107 actual en ese momento para sellar un error que ya se estaba utilizando en ataques de la vida real.

La compañía no dijo nada más sobre ese error que describirlo como un "desbordamiento de búfer de montón en GPU" [sic] e informar que ya se estaba utilizando en ataques del mundo real.

Google dejó todas las siguientes preguntas sin respuesta:

• ¿Cómo podría desencadenarse el error? ¿Era suficiente simplemente ver una página web con trampas explosivas?
• ¿Se podría abusar de él para la ejecución remota de código? ¿Podrían los delincuentes terminar instalando malware sin ninguna advertencia visible?
• ¿Quién lo estaba usando? ¿Eran atacantes patrocinados por el estado o algún otro tipo de ciberdelincuentes?
• ¿Qué buscaban? ¿Estaban involucrados en el robo de datos, ataques de ransomware, vigilancia ilegal o todas esas cosas?

Para ser claros, muchos errores de memoria, si no la mayoría, nunca terminan convirtiéndose en ataques de ejecución remota de código (RCE).

Si bien un desbordamiento de búfer a menudo facilita que un programa se bloquee, lo que hace que deje de responder, no siempre es fácil descubrir cómo desencadenar el error con la precisión suficiente para tomar el control de la aplicación.

(A menudo, el mal comportamiento provocado por el error se detectará como algún tipo de violación de acceso por parte del sistema operativo, lo que eliminará el programa antes de que pueda ser engañado para que se vuelva deshonesto).

En este caso, por supuesto, el error ya se estaba explotando activamente, lo que implicaba que se había encontrado un exploit RCE y que los atacantes sabían cómo hacer cosas mucho peores que simplemente bloquear su navegador.

Más actualizaciones de Chrome

Poco después del parche de desbordamiento del montón de GPU, una nueva versión de Chrome, numerado 108, salió con no menos de 28 correcciones de seguridad, incluidos parches para numerosas fallas de mala gestión de la memoria, al menos algunas de las cuales suponemos que en última instancia podrían haberse convertido en vulnerabilidades de RCE.

Afortunadamente, ninguno de esos 28 errores se sabía que estaba "en la naturaleza", lo que significa que parecen haber sido encontrados e informados por investigadores de seguridad cibernética responsables antes de que los ciberdelincuentes o los equipos de piratería patrocinados por el estado los descubrieran.

Desafortunadamente, Google ya necesitaba publicar una actualización de seguridad de seguimiento para su noveno día cero del año 2022, trayendo Chrome a la versión 108.0.5359.94 para Mac y Linux, y para 108.0.5359.94 o 108.0.5359.95 para Windows.

Una vez más, el informe de seguridad es ultraconciso, esta vez señalando solo que:

• CVE-2022-4262 es la designación oficial de error.
• Confusión de tipos en V8 es la base del error.
• Ya existe un exploit y está siendo abusado en la naturaleza.

Como hemos explicado antes, V8 es el subsistema JavaScript de Google, responsable de compilar y ejecutar cualquier programa JavaScript incrustado en cualquier página web que visite.

Confusión de tipos en JavaScript es donde un bloque de memoria que se supone que se usa en un tipo de cálculo sin darse cuenta es consumido y confiado por un algoritmo diferente.

Por ejemplo, mezclar un número entero sin signo de 64 bits y un número de punto flotante de 64 bits generalmente arruinará su cálculo de forma horrenda, porque los diseños internos de los dos formatos de número son incompatibles.

Pero tratar, digamos, un entero sin signo de 64 bits que puede contener de forma segura cualquier valor numérico que desee, como una fecha y hora codificadas, como un puntero de memoria que especifica una subrutina de programa que se llamará a continuación...

… podría conducir a una desviación deliberada del flujo de código en el programa.

No solo obtendrá resultados incorrectos; terminará con RCE: un programa local bajo control remoto malicioso porque fue engañado para ejecutar un código no confiable que se envió desde el exterior.

¿Qué hacer?

Incluso si ha verificado su versión de Chrome en los últimos días, le recomendamos que vuelva a verificar abriendo Chrome's Menú de tres puntos (⋮) y luego seleccionando Ayuda > Sobre cromo.

Como se mencionó anteriormente, usted está buscando la versión 108.0.5359.94 para Mac y Linux, y para la versión 108.0.5359.94 o 108.0.5359.95 para Windows.

(Para cuando lea esto, es posible que haya más actualizaciones, así que considere los números de versión anteriores como el mínimo que desea).

Edge, como seguramente sabrá, se basa en Chromium, el núcleo de código abierto del proyecto Chrome de Google, y Chromium también usa V8 para manejar JavaScript.

Esto hace que sea casi seguro que Edge también tenga este error, pero al momento de escribir [2022-12–4T23:30Z], Microsoft no había anunciado una actualización para corregirlo.

Por lo tanto, recomendamos mantener un ojo en Microsoft notas oficiales de la versión para que sepas cuándo llega la actualización de Edge.

• Distribución de relaciones públicas y contenido potenciado por SEO. Consiga amplificado hoy.
• Platoblockchain. Inteligencia del Metaverso Web3. Conocimiento amplificado. Accede Aquí.
• Fuente: https://nakedsecurity.sophos.com/2022/12/05/number-nine-chrome-fixes-another-2022-zero-day-edge-not-patched-yet/